Das Wichtigste in Kürze
- Das schwächste Glied der Kette: Angreifer attackieren gezielt externe Dienstleister (Managed Service Provider, Cloud-Hosts, Kanzleien, Buchhaltungsfirmen), um über deren privilegierte Schnittstellen zu Grosskunden durchzudringen.
- Lehren aus dem Xplain-Vorfall: Fehlende Verschlüsselung, unzureichende Netztrennung und fehlende Auditierung von Auftragsbearbeitern rächen sich bitter.
- Rechtliche Pflicht: Das neue Datenschutzgesetz (nDSG Art. 9) verpflichtet Schweizer Unternehmen zur sorgfältigen Auswahl und regelmässigen Kontrolle ihrer Auftragsbearbeiter.
- Lösung: Drittanbieter-Monitoring und vertraglich verankerte Sicherheitszertifikate (wie ISO 27001).
1. Das Trojanische Pferd der modernen Wirtschaft
Kein Schweizer Unternehmen operiert mehr autark. IT-Support, Lohnbuchhaltung, Gebäudetechnik, Webhosting, Softwareentwicklung und Cloud-Backups werden an Dritte vergeben. Jeder dieser Partner verfügt über vertrauliche Daten, VPN-Zugänge oder Schnittstellen ins Firmennetzwerk.
Für Angreifer sind diese Schnittstellen die ideale Eintrittskarte: Statt die gehärtete Firewall eines Industrieunternehmens oder einer Kantonalbank wochenlang anzugreifen, hacken sie das kleine IT-Systemhaus mit 15 Mitarbeitenden, das die Fernwartung der Maschinensteuerungen betreut.
2. Die drei gefährlichsten Supply-Chain-Angriffsmuster
1. Der kompromittierte Managed Service Provider (MSP)
MSPs setzen Fernwartungs- und Monitoring-Software (RMM-Tools wie NinjaOne, Datto oder ConnectWise) ein. Haben Kriminelle das Administratorkonto des MSP erbeutet, können sie per Mausklick zeitgleich auf den Systemen von 50 oder 100 Kundenunternehmen Schadsoftware installieren und Daten abziehen.
2. Software-Lieferkettenangriffe (Dependency Confusion / Poisoning)
Moderne Software besteht zu 80 % aus Open-Source-Bibliotheken (npm, PyPI, NuGet). Schleusen Hacker manipulierte Pakete in populäre Bibliotheken ein, laden Schweizer Softwarehäuser die Schadsoftware beim nächsten Build-Lauf unbemerkt selbst herunter und liefern sie an Endkunden aus.
3. Ungesicherte Testdaten beim Dienstleister
Genau das geschah beim Fall Xplain: Reale Produktionsdaten von Behörden wurden zu Testzwecken auf die Server des Softwarelieferanten übertragen – ohne Anonymisierung und ohne dass der Bund dies ausreichend überwacht hatte. Als Xplain von Play-Ransomware getroffen wurde, lagen die Bundesdaten ungeschützt auf den Systemen.
| Massnahme | Bisherige Praxis | Soll-Standard für Schweizer Firmen |
|---|---|---|
| Sicherheitsprüfung vor Vertrag | Kurzer Fragebogen mit 5 Ja/Nein-Fragen. | Nachweis eines anerkannten Sicherheitszertifikats (ISO 27001) oder externe Bedrohungsanalyse. |
| Fernwartungszugänge | Dauerhaft offene VPN-Site-to-Site-Tunnel. | On-Demand-Zugriff mit Just-in-Time-MFA, Session-Recording und strikter Port-Einschränkung. |
| Auftragsbearbeitungsvertrag (ABV) | Standard-Musterklausel ohne Sanktionen. | Klare Regelung zu Meldepflichten bei Vorfällen (24h), Recht auf Sicherheitsaudits und Konventionalstrafen. |
3. Rechtliche Pflichten nach Art. 9 nDSG: Wann haftet der Auftraggeber?
Nach Art. 9 des Schweizer Datenschutzgesetzes darf die Bearbeitung von Personendaten an Auftragsbearbeiter übertragen werden, wenn die Daten nur so bearbeitet werden, wie der Auftraggeber es selbst tun dürfte, und keine gesetzliche Geheimhaltungspflicht entgegensteht. Der Auftraggeber muss sich vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. Wer seinen Dienstleister nicht auditiert, haftet im Falle eines Leaks persönlich für Organisationsverschulden.
4. Die 5 Prüffragen für jeden IT-Dienstleister vor Vertragsunterzeichnung
- «Verfügen Sie über ein ISO/IEC 27001 Zertifikat einer akkreditierten Zertifizierungsstelle?»
- «Werden Fernwartungszugänge mit Hardware-MFA (FIDO2) geschützt und Sitzungen aufgezeichnet?»
- «Verpflichten Sie sich vertraglich, Sicherheitsvorfälle innert 24 Stunden unaufgefordert zu melden?»
- «Verbleiben alle Kundendaten und Backups ausschliesslich in zertifizierten Schweizer Rechenzentren?»
- «Dürfen wir Ihre Schnittstellen zu unseren Systemen durch unabhängige Dritte wie Suisse Guard auditieren lassen?»
Möchten Sie Ihre Lieferketten und Partner absichern?
Erfahren Sie, wie Suisse Guard Ihre Schnittstellen und Dienstleisterbeziehungen unabhängig überprüft.
